触发 Lambda 进行自动修复

AWS Lambda无需管理服务器即可运行您的代码，并且只按执行时间收费。在安全自动化中，它是最灵活的修复目标。

当 EventBridge 匹配到 Finding 后，会调用 Lambda 函数执行修复操作——隔离实例、撤销密钥或关闭存储桶，整个过程只需几秒。

这一模式是一致的：检测器发出发现结果，EventBridge 规则匹配该结果，然后规则调用 Lambda 函数，并将事件作为输入传入。

该函数读取事件详细信息，识别受影响的资源，并调用 AWS API 执行修复。这样，检测就能在无人介入的情况下转变为纠正操作。

EventBridge 会将完整的事件 JSON 传递给函数。代码从 detail 对象中提取所需信息，例如实例 ID、存储桶名称和违规键。

健壮的函数会验证此输入，因为针对格式错误或意外事件采取行动，可能会修复错误的资源。

常见的 Lambda 修复操作包括：

• 在遭到入侵的实例上替换为隔离安全组。
• 禁用泄露的 IAM 访问密钥。
• 为暴露的存储桶启用阻止公共访问。
• 移除权限过于宽泛的安全组规则。

每项操作都只需函数自动执行几次 API 调用。

Lambda 函数会使用一个执行角色运行。仅授予它执行修复所需的权限，不要授予更多权限。

自动修复函数本身功能强大，因此其角色很容易成为攻击目标。严格限定权限范围，可以在函数或其事件输入遭到滥用时限制损害。

EventBridge 偶尔可能会多次传递同一个事件，而且某个发现结果也可能再次出现。请让修复操作具备幂等性，即重复运行也应安全。

如果隔离安全组已经附加到资源上，再次应用该安全组也应直接成功且不产生副作用，从而确保重复调用不会造成损害或错误。

自动操作可能造成干扰，因此请添加安全检查。函数可以验证资源是否带有特定标签，跳过受保护的生产系统，或要求满足模式已筛选出的严重性阈值。

有些团队会要求破坏性操作先经过审批步骤，以防止自动化失控。

每次修复都必须留下记录。请让函数写入 CloudWatch Logs，并可选择通过 SNS 通知其执行了什么操作以及针对哪个资源。

结合 CloudTrail 对 API 调用的记录，您就能获得自动响应的完整记录，用于审计和事件后复盘。

修复可能失败，例如权限不足、API 被限流或资源已删除。请配置重试机制和死信队列，以免丢失失败的调用。

当函数无法完成操作时，还应向人员发出告警，这样失败的自动修复就会升级处理，而不会悄无声息地留下未处理的威胁。

要让 EventBridge 调用您的函数，规则需要具备调用函数的权限。该权限由 Lambda 上信任 EventBridge 服务的基于资源的策略授予。

函数自身的执行角色决定它运行后可以执行哪些操作，而调用权限决定谁可以触发它。要让流程正常运行，两者都必须配置到位。

在将修复函数用于真实事件之前，请先在非生产账户中使用示例事件对其进行测试。

请验证函数是否作用于正确的资源、是否遵守防护措施以及是否正确记录。错误触发的自动化造成中断的可能性并不亚于攻击者，因此验证至关重要。

为什么需要幂等性？

AWS Lambda 是执行自动修复的灵活目标，当 EventBridge 规则匹配某个发现结果时，Lambda 会执行修复。函数读取事件的 detail，识别资源并调用 API 对其进行修复，例如隔离实例、禁用密钥或关闭存储桶。请为它配置最小权限的执行角色，让操作具备幂等性，添加防护措施和日志记录，使用 DLQ 和告警处理故障，并在将其用于生产环境前进行充分测试。